Miliony użytkowników X (dawniej Twittera), którzy „zrobili wszystko dobrze” w kwestii bezpieczeństwa konta, spędziły ostatnie 24 godziny zablokowane, uwięzione w nieskończonych pętlach uwierzytelniania dwuskładnikowego i przywitane mylącym komunikatem:
„Musisz ponownie zarejestrować swój YubiKey.”
Problem jest bezpośrednio związany z długo trwającą próbą Elona Muska, by wymazać ostatnie ślady twitter.com i całkowicie przenieść logowanie na x.com — zmianę marki i domeny, którą krytycy już uznali za jedną z najbardziej chaotycznych rebrandingów w branży technologicznej. [1]
Oto co się stało, co jest nowe dziś (13 listopada 2025 r.) i co możesz zrobić, jeśli Twoje konto X utknęło obecnie w piekle uwierzytelniania.
Co się stało: zmiana klucza bezpieczeństwa X poszła nie tak
W dniach 24–27 października X po cichu ostrzegł użytkowników, że jeśli korzystają z fizycznego klucza bezpieczeństwa (takiego jak YubiKey) lub passkey do uwierzytelniania dwuskładnikowego (2FA), muszą ponownie go zarejestrować dla nowej domeny x.com do 10 listopada 2025, w przeciwnym razie ryzykują zablokowanie dostępu. [2]
Zespół ds. bezpieczeństwa X podkreślał wówczas, że:
- Zmiana była „niezwiązana z żadnym incydentem bezpieczeństwa”
- Dotyczyła wyłącznie kluczy bezpieczeństwa i passkey,
- I była konieczna, ponieważ te klucze są kryptograficznie powiązane z twitter.com, który X chce wycofać. [3]
Serwisy bezpieczeństwa, takie jak BleepingComputer i The Register, wyjaśniły, że gdy twitter.com zniknie, klucze powiązane z tą domeną po prostu przestaną działać — dlatego muszą zostać ponownie zarejestrowane dla x.com. [4]
Taki był plan.
Rzeczywistość nadeszła w tym tygodniu.
12–13 listopada: błąd YubiKey i nieskończone pętle logowania
Od późnych godzin 12 listopada (czasu USA) do wczesnych godzin 13 listopada 2025, użytkownicy X zaczęli zgłaszać, że nie mogą się już zalogować w przeglądarce ani na urządzeniach mobilnych:
- Po wpisaniu hasła otrzymywali komunikat, że „muszą ponownie zarejestrować [swój] YubiKey”, aby powiązać go z x.com. [5]
- Kiedy próbowali postępować zgodnie z instrukcjami, proces po prostu… zapętlał się.
- Niektórzy nigdy nie posiadali YubiKey, a mimo to zostali zmuszeni do tego samego ekranu „ponownej rejestracji YubiKey”. [6]
Android Central, Windows Central i TechCrunch udokumentowały ten sam schemat: globalny problem z logowaniem dla kont powiązanych z kluczami bezpieczeństwa lub passkey, często kończący się ślepym zaułkiem weryfikacji lub całkowitym zablokowaniem, nawet gdy użytkownicy postępowali zgodnie z instrukcjami. [7]
Serwis skupiony na bezpieczeństwie The Tech Buzz opisał to dosadnie jako „nieudaną migrację kluczy bezpieczeństwa”, która zamieniła porządkowanie domeny w „piekło uwierzytelniania” dla najbardziej świadomych użytkowników platformy. [8]
Dzisiejsza aktualizacja (13 listopada 2025): Częściowe odzyskanie dostępu, utrzymujący się chaos
Nowe raporty i wpisy użytkowników sugerują dziś, że najgorsze już mija — ale nie wszyscy odzyskali dostęp.
Redakcje: Potwierdzenie problemu, X wciąż głównie milczy
- NewsBytes informuje, że X „zmaga się z poważnym problemem po obowiązkowej zmianie uwierzytelniania dwuskładnikowego”, przez co użytkownicy „utknęli w nieskończonych pętlach lub zostali całkowicie zablokowani”, i zauważa, że X nie skomentował publicznie tej usterki. [9]
- Storyboard18 również opisuje „nieudaną aktualizację zabezpieczeń”, która zablokowała użytkowników lub uwięziła ich w pętlach logowania — ponownie podkreślając, że X nie przedstawił oficjalnego wyjaśnienia, podczas gdy Elon Musk nadal publikuje normalnie ze swojego konta. [10]
- Tech Buzz zaktualizował dziś rano swój artykuł, odnotowując utrzymujące się problemy z uwierzytelnianiem i brak oficjalnego oświadczenia ze strony X. [11]
TechCrunch zauważa, że X „nie odpowiedział na prośbę o komentarz”, mimo że ich własna relacja z logowania opisywała nieskończone pętle i masowe blokady po terminie 10 listopada. [12]
Zgłoszenia użytkowników: wycofywanie zmian w toku, ale nie wszędzie
Windows Central na swoim blogu na żywo, powołując się na wewnętrzne źródła, poinformował 12 listopada, że inżynierowie X wycofują ostatnie zmiany, a do połowy popołudnia autor mógł ponownie się zalogować, podczas gdy liczba zgłoszeń awarii na DownDetector zaczęła spadać. [13]Na forach r/Yubikey i r/Twitter na Reddicie użytkownicy opisują: [14]
- Globalne problemy z logowaniem do X za pomocą YubiKey/passkey.
- Mylįce komunikaty o konieczności „ponownej rejestracji YubiKey”, nawet dla osób korzystających wyłącznie z passkey lub aplikacji uwierzytelniających.
- Fala komentarzy dziś rano, takich jak „Jestem z powrotem” i „Naprawione na obu moich kontach” — obok innych, którzy nadal nie mogą się zalogować.
Szeroko udostępniany komentarz na Reddicie odnosi się do wpisu zweryfikowanego inżyniera X, który stwierdził, że „problem z logowaniem za pomocą klucza bezpieczeństwa powinien zostać wkrótce rozwiązany”, ale naprawa ewidentnie wdrażana jest nierównomiernie: niektóre konta już działają, inne nadal tkwią w pętli. [15]
Podsumowanie na 13 listopada:
- Awaria się poprawia, ale jeszcze się nie skończyła.
- Wciąż brak szczegółowego, publicznego post-mortem od X.
Kogo dotyczy problem — a kogo nie?
Na podstawie dzisiejszych relacji i wpisów użytkowników: [16]
Najbardziej dotknięci:
- Konta, które kiedykolwiek skonfigurowały:
- sprzętowy klucz bezpieczeństwa (YubiKey lub podobny), lub
- passkey (uwierzytelnianie platformowe z użyciem Face ID, Touch ID, Windows Hello itp.)
- Zwłaszcza użytkownicy, których klucze zostały zarejestrowane, gdy do logowania używano jeszcze twitter.com.
W większości nie dotyczy (na razie):
- Konta korzystające z aplikacji uwierzytelniających (aplikacje TOTP),
- Konta korzystające z kodów SMS lub e-mail do 2FA,
- Konta bez 2FA (choć jest to stanowczo odradzane ze względów bezpieczeństwa).
Dlaczego przejście z twitter.com na x.com zepsuło logowanie
Aby zrozumieć awarię, trzeba wiedzieć, jak działają klucze bezpieczeństwa i passkeye.
W przeciwieństwie do haseł, klucze bezpieczeństwa WebAuthn/FIDO2 i passkeye są powiązane z konkretną domeną. Gdy po raz pierwszy zarejestrowałeś klucz dla twitter.com, został on kryptograficznie przypisany do tego dokładnego pochodzenia. [18]
Więc gdy X zdecydował się ostatecznie wyłączyć starą domenę i całkowicie przenieść logowanie na x.com:
- Klucze zarejestrowane dla twitter.com przestały pasować do nowej domeny.
- X w związku z tym wymagał od użytkowników, aby wyrejestrowali i ponownie zarejestrowali je dla x.com.
- Sam proces ponownej rejestracji wydaje się być uszkodzony, powodując:
- Nieskończone pętle powrotu do ekranu „ponownie zarejestruj swój YubiKey”,
- Monity logowania o YubiKey na kontach, które używały tylko passkeyów lub aplikacji,
- Użytkownicy nie mogący dostać się do strony ustawień, gdzie należy dokonać zmiany. [19]
X Safety wcześniej uspokajał użytkowników, że to tylko prosta konserwacja i „nie dotyczy żadnych kwestii bezpieczeństwa”, ale realizacja wyraźnie nie spełniła podstawowych oczekiwań dotyczących niezawodności: migracje bezpieczeństwa mają zapewniać większe bezpieczeństwo, a nie masowo wylogowywać użytkowników. [20]
Czy to atak hakerski lub wyciek danych?
Nie ma żadnych dowodów na razie, że ten incydent to atak, wyciek lub zewnętrzny cyberatak.
- Październikowe wyjaśnienia X określiły reset kluczy jako migrację domeny, a nie reakcję na incydent. [21]
- Obecne doniesienia z NewsBytes, Storyboard18, TechBuzz, TechCrunch i innych łączą awarię z nieudaną implementacją planowanej migracji kluczy bezpieczeństwa, a nie z naruszeniem systemów X. [22]
Niemniej jednak, X nie udostępnił jeszcze szczegółowego wyjaśnienia technicznego, więc zewnętrzni obserwatorzy wciąż próbują ustalić przyczynę na podstawie zachowania i wyciekłych wewnętrznych komentarzy.
Co zrobić, jeśli nie możesz zalogować się na swoje konto X
Jeśli utknąłeś w pętli YubiKey/passkey, oto praktyczne kroki zaczerpnięte z wcześniejszych wskazówek X oraz zaleceń ekspertów ds. bezpieczeństwa. [23]
1. Spróbuj z urządzenia, na którym jesteś już zalogowany
Jeśli nadal masz aktywną sesję X na:
- Telefonie,
- Tablecie lub
- Innym profilu przeglądarki,
użyj tej zalogowanej sesji, aby:
- Przejdź do Ustawienia → Bezpieczeństwo i dostęp do konta → Bezpieczeństwo → Uwierzytelnianie dwuskładnikowe.
- Tymczasowo wyłącz stary wpis klucza bezpieczeństwa/passkey, który odnosi się do twitter.com.
- Dodaj zapasową metodę 2FA (aplikacja uwierzytelniająca lub inny klucz sprzętowy), jeśli jeszcze jej nie masz.
- Ponownie zarejestruj swój YubiKey/passkey dla x.com tylko wtedy, gdy problemy z migracją zostaną wyraźnie rozwiązane.
2. Sprawdź inne opcje 2FA
Niektórzy użytkownicy zgłaszają, że nadal mogą się zalogować przez: [24]
- Aplikację uwierzytelniającą, którą wcześniej skonfigurowali,
- Kody SMS lub e-mail,
- Zapasowy klucz sprzętowy.
Jeśli możesz się uwierzytelnić za pomocą jednej z tych metod, przejdź od razu do ustawień i sprawdź:
- Jakie klucze bezpieczeństwa są wymienione,
- Czy twój klucz jest teraz powiązany z x.com,
- I czy masz przynajmniej jedną działającą zapasową metodę.
3. Użyj formularza odzyskiwania konta X
Jeśli żadna metoda logowania nie działa i jesteś całkowicie zablokowany, jedyną oficjalną drogą jest kontakt z pomocą techniczną X przez formularz „odzyskaj dostęp do swojego konta”, z którego – jak twierdzi wielu użytkowników na Reddicie – musieli skorzystać. [25]
Ten proces może być powolny i nie ma gwarancji sukcesu, ale to jedyna legalna droga odzyskania konta, jaką X oferuje, jeśli 2FA nie działa.
4. Unikaj całkowitego wyłączania 2FA (jeśli to możliwe)
Własne ostrzeżenia X przed upływem terminu mówiły, że po 10 listopada możesz: [26]
- Ponownie zarejestrować swój klucz lub passkey,
- Przełączyć się na inną metodę 2FA, lub
- Całkowicie wyłączyć 2FA (czego oni sami „stanowczo odradzają”).
O ile nie musisz natychmiast odzyskać dostępu i nie masz innych opcji, staraj się nie wyłączać 2FA na stałe. Narażasz wtedy konto na phishing, ponowne użycie hasła i ataki SIM-swap — czyli zagrożenia, przed którymi mają chronić klucze bezpieczeństwa.
Jeśli tymczasowo osłabisz swoje zabezpieczenia, by odzyskać dostęp, zaplanuj:
- Natychmiast dodać aplikację uwierzytelniającą lub klucz zapasowy oraz
- Ponownie włączyć silne 2FA, gdy tylko systemy logowania X będą stabilne.
5. Uważaj na e-maile phishingowe i fałszywe „wsparcie”
Takie incydenty przyciągają oszustów. Uważaj na:
- E-maile rzekomo od „X Security” z prośbą o „naprawienie” klucza,
- Wiadomości prywatne oferujące przywrócenie konta za opłatą,
- Linki wyglądające jak x.com, ale nimi niebędące (dodatkowe znaki, dziwne subdomeny itp.).
Jeśli musisz w coś kliknąć, sam wpisz x.com w przeglądarce i poruszaj się po oficjalnym interfejsie zamiast ufać linkom w wiadomościach.
Jeszcze jedna wpadka w długim, chaotycznym rebrandingu X
Z perspektywy marki ta awaria jest symbolicznie brutalna.
- Serwis o projektowaniu Creative Bloq niedawno nazwał metamorfozę X przeprowadzoną przez Muska „jednym z najbardziej chaotycznych rebrandingów dekady”, zauważając, że ludzie wciąż instynktownie odnoszą się do platformy jako „X, dawniej znany jako Twitter” ponad dwa lata później. [27]
- W tym artykule zwrócono uwagę, że jednym z ostatnich technicznych śladów Twittera — adres twitter.com — został ostatecznie wycofany, a logowania są całkowicie przekierowywane na x.com.
Teraz sam akt „pogrzebania” twitter.com przywrócił starą markę na nagłówki, gdy użytkownicy narzekają, że „Twitter znowu coś zepsuł”, próbując naprawić ostatnie ślady… Twittera. [28]
Dla krytyków ten incydent wpisuje się w schemat, na który zwracają uwagę od przejęcia przez Muska: agresywne, odgórne zmiany wprowadzane w szybkim tempie, z okrojonymi zespołami inżynierów i pozornie ograniczonymi zabezpieczeniami. Wiele serwisów dziś wyraźnie przedstawia awarię jako najnowszą z serii operacyjnych potknięć od czasu przejęcia za 44 miliardy dolarów. [29]
Czy to oznacza, że passkeye i klucze bezpieczeństwa to zły pomysł?
Krótka odpowiedź: nie — ale to ostrzeżenie, jak je wdrażać.
Raporty BleepingComputer, The Verge i The Register podkreślają, że klucze sprzętowe i passkeye pozostają jednymi z najbezpieczniejszych form uwierzytelniania dostępnych obecnie. Znacząco zmniejszają ryzyko phishingu, ponieważ reagują tylko na dokładną domenę, do której zostały zarejestrowane. [30]
To, co tu zawiodło, to nie była technologia. To było:
- Źle przeprowadzony plan migracji (wymuszanie ponownej rejestracji z twardym terminem),
- Błędny proces ponownej rejestracji bez niezawodnej alternatywy,
- Słaba komunikacja podczas awarii, pozostawiająca użytkowników samych z rozwiązywaniem problemów z bezpieczeństwem publicznie. [31]
Dla innych platform obserwujących tę sytuację wniosek jest jasny:
Jeśli zamierzasz przenieść miliony użytkowników na nową domenę z powiązanymi sprzętowo poświadczeniami, potrzebujesz niezawodnych testów, stopniowego wdrożenia i solidnych ścieżek odzyskiwania.
FAQ: Awaria kluczy bezpieczeństwa X, 13 listopada 2025
Co spowodowało awarię logowania X?
Wymuszona migracja kluczy bezpieczeństwa i passkeyów z domeny twitter.com do x.com, połączona z uszkodzonym procesem ponownej rejestracji, który uwięził użytkowników w pętlach YubiKey/passkey i zablokował dostęp do ustawień konta. [32]
Kto był najbardziej dotknięty?
Użytkownicy, którzy skonfigurowali sprzętowe klucze bezpieczeństwa lub passkeye do 2FA, zwłaszcza ci, których klucze zostały pierwotnie zarejestrowane, gdy logowania odbywały się jeszcze przez twitter.com. Wielu z nich zostało tymczasowo lub nadal całkowicie zablokowanych. [33]
Czy problem został już naprawiony (13 listopada 2025)?
Raporty z Windows Central i Reddit pokazują, że wielu użytkowników może się ponownie zalogować po tym, jak X najwyraźniej cofnął część zmian, ale inni nadal są zablokowani, a X nie opublikował szczegółowego publicznego post-mortem. [34]
Czy X został zhakowany?
Nie ma publicznych dowodów na włamanie lub wyciek danych. X i niezależne raporty bezpieczeństwa przypisują incydent nieudanej wewnętrznej migracji kluczy bezpieczeństwa, a nie atakowi zewnętrznemu. [35]
Czy powinienem wyłączyć 2FA na swoim koncie X?
Tylko w ostateczności. Wyłączenie 2FA znacznie ułatwia przejęcie konta. Jeśli musisz osłabić zabezpieczenia, aby odzyskać dostęp, dodaj aplikację uwierzytelniającą lub klucz zapasowy i włącz ponownie silne 2FA, gdy systemy X się ustabilizują. [36]
Na dzień 13 listopada kryzys powoli się cofa, ale utrata zaufania użytkowników — oraz szkody dla już kontrowersyjnego rebrandingu X — mogą potrwać znacznie dłużej niż sama awaria.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
